Соблюдение законодательства в сфере персональных данных (ФЗ-152) — это не просто формальность, а необходимость для любого бизнеса, обрабатывающего информацию о физических лицах. Нарушения влекут за собой серьезные штрафы (до 20 млн рублей за биометрические данные), блокировку ресурсов и репутационные риски. Ниже представлен подробный чек-лист, основанный на актуальных требованиях Роскомнадзора, судебной практике и изменениях, вступивших в силу в 2023–2025 годах.

Уведомление Роскомнадзора об обработке ПДн

Это базовое требование для любого оператора (включая ИП, самозанятых и физических лиц, если обработка не относится к исключениям ст. 22 ФЗ-152).

• Подача уведомления: Обязательно до начала обработки. Подается через официальный сервис РКН (pd.rkn.gov.ru).
• Актуальность данных: Проверьте, соответствуют ли сведения в реестре текущей реальности (наименование оператора, цели, категории субъектов, виды ПДн, меры защиты).
• Исключения: Уведомление не нужно, если обработка осуществляется только в рамках трудовых отношений, по договору с субъектом (без передачи третьим лицам) или для ведения посетителей/регистрации на производстве.

Локальные нормативные акты (ЛНА) — Основа проверки

Важно: Закон не устанавливает жесткий перечень документов, но Роскомнадзор проверяет именно их наличие и качество. Это «лицо» вашей системы защиты.

Обязательный минимум документов:

1. Политика в отношении обработки персональных данных (Публичная): Размещается на сайте. С 1 марта 2023 года к ней предъявляются усиленные требования (п. 2 ст. 18.1 ФЗ-152): указание сроков хранения, оснований обработки, прав субъектов, сведений о переграничной передаче и т.д.
2. Поручение по защите персональных данных: Приказ/распоряжение директора, назначающее ответственных лиц, утверждающее модель угроз и перечень мер защиты.
3. Модель угроз безопасности ПДн: Документ, описывающий источники угроз, уязвимости ИСПДн и потенциальный ущерб. База для выбора мер защиты.
4. Перечень мер защиты информации (технических и организационных): Соответствует Приказу ФСТЭК от № 21 (для гос. систем) или рекомендациям ФСТЭК/Роскомнадзора для коммерческих организаций (уровни 1–4 защищенности).
5. Инструкции и регламенты: По работе с носителями, доступом к помещениям, учету инцидентов, уничтожению ПДн, действиям при утечке.
6. Журналы учета: Обращений субъектов ПДн, инцидентов безопасности, выдачи/возврата носителей, доступа к ИСПДн.

Политика обработки ПДн на сайте (Специфика 2023–2025 гг.)

Роскомнадзор автоматизированно сканирует сайты. Отсутствие или несоответствие политики — частая причина предписаний.

• Ссылка на политику в футере (подвале) каждой страницы сайта.
• Текст политики обновлен в соответствии с п. 2 ст. 18.1 ФЗ-152 (ред. от ).
• Наличие чек-бокса согласия (непредустановленного!) в формах сбора данных с ссылкой на политику.
• Информирование о использовании Cookie, Яндекс.Метрики, Google Analytics, пикселей ретаргетинга (это тоже ПДн).

Обеспечение прав субъектов персональных данных

С 2022 года Роскомнадзор уделяет особое внимание реализации прав граждан (ст. 14, 15, 21 ФЗ-152).

• Журнал обращений: Ведение учета всех запросов (на доступ, уточнение, блокирование, удаление, отзыв согласия).
• Сроки реакции: 30 календарных дней на выполнение запроса (п. 2 ст. 14 ФЗ-152). Продление возможно только 1 раз на 30 дней с уведомлением заявителя.
• Форма ответа: Мотивированный отказ или исполнение запроса. Отказ можно обжаловать в суд/РКН.
• Автоматизация: Наличие раздела «Личный кабинет» или формы для самостоятельного удаления/выгрузки данных — конкурентное преимущество и снижение рисков.

Режим защиты и меры безопасности (Ст. 19 ФЗ-152, Постановление Правительства № 1119)

Меры должны соответствовать уровню защищенности ИСПДн (1–4), определяемому по модели угроз.

Организационные меры:

• Назначение ответственного за организацию обработки ПДн (ст. 22.1 ФЗ-152).
• Разграничение доступа сотрудников (ролевая модель: минимум прав для выполнения задач).
• Оформление допусков к тайне/конфиденциальной информации, подписание НДА.
• Обучение персонала (документированное!) вопросам защиты ПДн.

Технические меры (базовый набор):

• Антивирусная защита, средства контроля целостности, межсетевые экраны.
• Идентификация и аутентификация пользователей (пароли, МФА, СКЗИ при необходимости).
• Учет событий безопасности (логирование) и хранение логов не менее 1 года (для КИИ — 3 года).
• Резервное копирование и план восстановления.
• Защита от утечек (DLP-системы для высоких уровней защищенности).
• Шифрование при передаче (TLS 1.2+/VPN) и хранении чувствительных данных.

Трансграничная передача персональных данных (Ст. 12 ФЗ-152)

Актуально, если используете зарубежные сервисы (CRM, почта, облака, аналитика, CDN).

• Адекватная защита: Страна-получатель входит в список Роскомнадзора (страны ЕАЭС, некоторые другие) ИЛИ заключен договор со стандартными условиями (Модельный договор РКН).
• Согласие субъекта: Явное, конкретное, информированное согласие на передачу за рубеж (отдельный чек-бокс).
• Уведомление РКН: С 1 марта 2023 года оператор обязан уведомить Роскомнадзор о планируемой трансграничной передаче (через личный кабинет на pd.rkn.gov.ru) не позднее чем за 1 день до передачи.
• Аудит используемых SaaS-сервисов: где физически находятся серверы? (AWS, Google Cloud, Microsoft Azure, Bitrix24, AmoCRM и др.).

Учет инцидентов и уведомление об утечках (Ст. 13.11 КоАП, Постановление Правительства № 1719)

Критически важный процесс. Штрафы за неуведомление — до 3 млн руб. (ст. 13.11 КоАП), за саму утечку — до 15 млн руб. (ст. 13.11 КоАП, ч. 2–3).

• План реагирования на инциденты: Утвержденный документ: кто делает что, за какие сроки.
• Сроки уведомления РКН: 72 часа с момента обнаружения утечки (или подтверждения факта).
• Уведомление субъектов: Если утечка может повлечь вред для прав субъектов — уведомление их в течение того же срока (72 ч).
• Форма уведомления: Через личный кабинет оператора на сайте РКН (форма установлена Приказом РКН).
• Анализ причины и устранение уязвимости после инцидента.

Обезличивание и уничтожение ПДн (Ст. 11, 21 ФЗ-152)

Новые требования с 1 сентября 2025 года (ФЗ от № 565-ФЗ) ужесточают подход к обезличиванию.

• Обезличивание, это не просто удаление ФИО, а необратимый процесс, исключающий идентификацию субъекта (в т.ч. при объединении с другими доступными данными).
• Необходимо утвердить Политику/Регламент обезличивания с описанием методов и алгоритмов.
• Уничтожение ПДн по истечении сроков хранения или достижении цели: акт уничтожения, журнал, необратимость (перезапись, физическое уничтожение носителей).
• Автоматизация процессов удаления/обезличивания в ИС (скрипты, задачи по расписанию).

Биометрические персональные данные (Особый режим)

• Обязательное письменное согласие субъекта (ст. 11 ФЗ-152).
• Обязательное уведомление РКН об обработке биометрии (отдельная графа в уведомлении).
• Строгие требования к защите (как минимум 2-й уровень защищенности ИСПДн, часто 1-й).
• Штрафы за утечку биометрии — до 20 млн рублей (ст. 13.11 КоАП ч. 3).
• Запрет на передачу биометрии третьим лицам без прямого согласия (кроме ЕБС).

Работа с подрядчиками (Распорядителями)

Если вы передаете ПДн подрядчику (аутсорсинг HR, колл-центр, облако, маркетинг):

• Договор/Дополнительное соглашение с обязательными условиями ст. 28 ФЗ-152 (перечень действий, цели, меры защиты, обязанность подрядчика соблюдать закон).
• Проверка подрядчика на соответствие требованиям защиты (аудит, запрос ЛНА, сертификатов).
• Контроль исполнения обязательств подрядчиком.
• При трансграничной передаче через подрядчика, ответственность остается у оператора.

Экспресс-аудит перед проверкой Роскомнадзора (Чек-лист «Готовность за 1 час»)

Типичные ошибки, за которые штрафуют в 2025–2026 годах

1. Формализм в ЛНА: Документы скачаны из интернета, не отражают реальные процессы компании (нет описания конкретных ИС, ролей, носителей).
2. Игнорирование Cookie и метрик: Отсутствие согласия на аналитику/ретаргетинг и упоминания в Политике.
3. Просроченные уведомления РКН: Не подано уведомление о начале обработки, об изменении данных, о трансграничной передаче.
4. Нарушение сроков ответа субъекту: Ответ дан через 31+ день или не дан вовсе;
5. Отсутствие модели угроз: Меры защиты подобраны «на глаз», без обоснования.
6. Хранение «на всякий случай»: ПДн хранятся после достижения цели без правовых оснований.
7. Передача подрядчику без договора ст. 28: Передача данных в CRM, рассылки, колл-центр без доп. соглашения.

Соответствие требованиям Роскомнадзора, это непрерывный процесс, а не разовая акция. Ключевые столпы: актуальные ЛНА, учет прав субъектов, управление инцидентами (72 часа), контроль подрядчиков и трансграничной передачи. Регулярный внутренний аудит (раз в квартал) по приведенному чек-листу позволит выявить пробелы до прихода инспекторов и избежать многомиллионных штрафов.

Рекомендация: Ведите «Дорожную карту соответствия» (Compliance Roadmap) с ответственными и дедлайнами по каждому пункту. Документируйте все действия — при проверке инспектор РКН в первую очередь просит подтверждающие документы (логи, журналы, акты, скриншоты настроек).

Статья подготовлена на основе актуальных на требований ФЗ-152, КоАП РФ, Постановлений Правительства, Приказов ФСТЭК и разъяснений Роскомнадзора. Данная информация носит справочный характер. Для правовой оценки конкретной ситуации обратитесь к специалисту по защите персональных данных.